CVE-2026-83607 in xmldom
要約
〜によって VulDB • 2026年09月01日
xmldomは、純粋なJavaScript製のW3C標準準拠（XML DOM Level 2 Core）のDOMParserおよびXMLSerializerモジュールです。@xmldom/xmldomバージョン0.8.14および0.9.11より前、およびxmldomバージョン0.6.0以前では、Document.createElement(tagName)は検証されていない要素名を保存し、XMLSerializer.serializeToString()はその名前をそのまま出力します。requireWellFormed: trueのパスでは要素の修飾名や合成されたxmlns:PREFIX宣言が検証されなかったため、攻撃者が制御するタグ名によりシリアライズされたXMLまたはHTMLに属性、要素、または処理命令が注入され、ブラウザで消費される際にクロスサイトスクリプティング（XSS）を引き起こす可能性があります。チェックされていない値はXML QNameの制約に違反しており、デフォルトのシリアライゼーションおよび作成時のcreateElement()動作は依然として寛容です。この問題は@xmldom/xmldomバージョン0.8.14および0.9.11で修正されました；xmldomについては固定版はありません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.